PHP安全地从非Web目录加载图片：MIME类型与安全实践

// fetch_image.php
$displayimage = file_get_contents('/home/whatever/public_html/db/uploads/'.$_GET['image']);
header('Content-Type: image/jpeg');
echo $displayimage;

<?php
// 定义图片存储的绝对安全路径，确保此目录在Web根目录之外
define('IMAGE_BASE_DIR', '/home/whatever/public_html/db/uploads/');

// 1. 获取并净化用户输入的文件名
$requestedImage = $_GET['image'] ?? '';
$cleanFilename = basename($requestedImage); // 剥离所有路径信息，只保留文件名

// 2. 构建完整的文件路径
$filePath = IMAGE_BASE_DIR . $cleanFilename;

// 3. 验证文件路径的安全性
// 确保最终路径确实位于我们定义的IMAGE_BASE_DIR内，防止通过符号链接等方式绕过basename
$realPath = realpath($filePath);
if (false === $realPath || strpos($realPath, IMAGE_BASE_DIR) !== 0) {
    // 文件不存在，或者尝试访问IMAGE_BASE_DIR之外的路径
    http_response_code(404);
    die('File not found or access denied.');
}

// 4. 进一步检查文件是否存在且是常规文件
if (!file_exists($realPath) || !is_file($realPath)) {
    http_response_code(404);
    die('File not found.');
}

// 5. （可选）文件扩展名验证 - 仅允许图片类型
$allowedExtensions = ['jpg', 'jpeg', 'png', 'gif', 'webp'];
$fileExtension = strtolower(pathinfo($realPath, PATHINFO_EXTENSION));
if (!in_array($fileExtension, $allowedExtensions)) {
    http_response_code(403);
    die('Access to this file type is forbidden.');
}

// ... 接下来处理Content-Type和文件输出

<?php
// ... (之前的安全验证代码) ...

// 动态检测MIME类型
$finfo = finfo_open(FILEINFO_MIME_TYPE); // 返回MIME类型，例如 "image/jpeg"
if (false === $finfo) {
    http_response_code(500);
    die('Failed to open fileinfo database.');
}

$mimeType = finfo_file($finfo, $realPath);
finfo_close($finfo);

// 检查MIME类型是否是图片类型
if (!preg_match('#^image/[a-zA-Z0-9\-\.]+$#', $mimeType)) {
    http_response_code(403);
    die('Access to this file type is forbidden based on content.');
}

// 设置Content-Type头
header('Content-Type: ' . $mimeType);
// 设置Content-Length头，有助于浏览器显示进度和优化下载
header('Content-Length: ' . filesize($realPath));

// 输出文件内容
readfile($realPath); // 比 file_get_contents() + echo 更高效，因为它直接将文件内容写入输出缓冲区
exit; // 确保脚本在此处终止，防止输出额外内容

<?php
// fetch_image.php

// 定义图片存储的绝对安全路径
// 确保此目录在Web根目录之外，例如：
// define('IMAGE_BASE_DIR', '/var/www/private_uploads/');
define('IMAGE_BASE_DIR', '/home/whatever/public_html/db/uploads/');

// 检查请求参数
if (!isset($_GET['image']) || empty($_GET['image'])) {
    http_response_code(400); // Bad Request
    die('Image parameter is missing.');
}

// 1. 获取并净化用户输入的文件名
$requestedImage = $_GET['image'];
$cleanFilename = basename($requestedImage); // 剥离所有路径信息，只保留文件名

// 2. 构建完整的文件路径
$filePath = IMAGE_BASE_DIR . $cleanFilename;

// 3. 验证文件路径的安全性
// realpath() 会解析所有符号链接和相对路径，返回文件的绝对路径。
// 我们需要确保这个绝对路径确实位于 IMAGE_BASE_DIR 之下。
$realPath = realpath($filePath);

if (false === $realPath || strpos($realPath, IMAGE_BASE_DIR) !== 0) {
    // 文件不存在，或者尝试访问 IMAGE_BASE_DIR 之外的路径（目录遍历攻击）
    http_response_code(404);
    die('File not found or access denied.');
}

// 4. 进一步检查文件是否存在且是常规文件
if (!file_exists($realPath) || !is_file($realPath)) {
    http_response_code(404);
    die('File not found.');
}

// 5. 动态检测MIME类型
$finfo = finfo_open(FILEINFO_MIME_TYPE);
if (false === $finfo) {
    http_response_code(500);
    error_log('Failed to open fileinfo database.');
    die('Server error.');
}

$mimeType = finfo_file($finfo, $realPath);
finfo_close($finfo);

// 6. 验证MIME类型是否为允许的图片类型
if (!preg_match('#^image/[a-zA-Z0-9\-\.]+$#', $mimeType)) {
    http_response_code(403); // Forbidden
    die('Access to this file type is forbidden based on content.');
}

// 7. 设置HTTP响应头
header('Content-Type: ' . $mimeType);
header('Content-Length: ' . filesize($realPath));
header('Cache-Control: public, max-age=31536000'); // 示例：设置一年缓存
header('Expires: ' . gmdate('D, d M Y H:i:s', time() + 31536000) . ' GMT');

// 8. 输出文件内容
readfile($realPath);
exit; // 终止脚本执行
?>